使用GSI时凭证token中缺少picture属性的问题求助

问题原因 #

通过Admin Directory API设置的Google Workspace域用户头像，不会自动包含在GIS库返回的ID Token payload里；只有用户自行在个人账号页面上传的头像，才会出现在picture字段中——这是GIS库与旧版Google登录库的行为差异。

解决方案 #

有两种可靠的方式获取域用户的头像：

方案1：后端调用Admin Directory API获取头像

因为你的应用是面向内部Workspace用户的，可以直接在后端通过Admin Directory API的Users.get接口获取用户头像URL：

1. 确保服务账号拥有https://www.googleapis.com/auth/admin.directory.user.readonly权限，且已配置域范围授权（Domain-Wide Delegation）。
2. 验证ID Token后，用用户的sub（唯一ID）或email调用API：

// 后端Express代码示例（需先安装googleapis包）
const { google } = require('googleapis');

// 初始化Admin SDK客户端
const admin = google.admin({
  version: 'directory_v1',
  auth: auth2Client // 已授权的OAuth2Client实例（服务账号域范围授权）
});

// 获取用户头像
async function getUserProfilePicture(userId) {
  try {
    const user = await admin.users.get({
      userKey: userId, // 支持sub、邮箱或用户ID
      fields: 'photos' // 仅请求头像字段，精简响应
    });
    return user.data.photos?.[0]?.url || null;
  } catch (error) {
    console.error('获取用户头像失败:', error);
    return null;
  }
}

// 在ID Token验证流程中调用
const ticketPayload = ticket.getPayload();
const profilePicture = await getUserProfilePicture(ticketPayload.sub);

方案2：直接构造用户头像的公开URL

Google Workspace用户的头像有固定格式的公开访问链接，无需额外API调用：

https://www.google.com/s2/photos/profile/{用户邮箱}?sz=96

其中sz=96为头像尺寸，可根据需求调整（如sz=200）。后端拿到用户邮箱后，直接拼接该URL即可作为头像地址。

注意事项 #

• 方案2的公开链接仅对域内用户或已授权应用可见，符合内部应用的权限要求。
• 若用户未设置任何头像（无论通过Admin API还是个人设置），两种方案都会返回null或默认头像，需做好前端兜底处理。

内容的提问来源于stack exchange，提问作者Morfinismo